pare-feu

Pare-feu informatique

Un pare-feu (ou coupe-feu, barrière de sécurité ou firewall), dans le contexte d'un réseau informatique, est un composant essentiel de la sécurité des réseaux informatiques. Son but est de protéger un réseau informatique des intrusions indésirables en filtrant les communications autorisées ou non entre deux réseaux informatiques (généralement dans un contexte domestique : votre réseau privé domestique et le réseau Internet).

Le pare-feu pourrait être comparé à un agent de sécurité à l'aéroport. Pour entrer dans votre pays, un visiteur étranger doit passer par un poste-frontière et être contrôlé par un douanier qui, selon des instructions qu'il doit suivre, le laissera passer ou lui fera rebrousser chemin. Pareillement, un habitant de votre pays doit passer un contrôle avant de monter dans un avion vers une destination extérieure ; suite à son contrôle, le voyageur pourra continuer ou non sa route. Le pare-feu joue ce rôle, au niveau informatique : il filtre les connexions qui arrivent dans votre ordinateur et celles qui sortent de votre ordinateur, et bloque celles qui sont indésirables selon ce que vous lui avez paramétré comme politique de sécurité.

Un pare-feu se présente essentiellement sous deux formes :

Logicielle : un programme qui fonctionne dans votre ordinateur personnel ou de bureau et assure le rôle de filtrage des connexions ;
Matérielle : un composant physique de votre réseau domestique qui inclut un logiciel de pare-feu.

Ai-je besoin d'un pare-feu ?

La réponse à cette question est indéniablement oui. Le pare-feu est un composant essentiel de la sécurité de votre réseau domestique ou d'entreprise. Sans celui-ci, vous exposez votre ou vos ordinateurs à des risques de sécurité importants. Cependant, avez-vous réellement besoin d'un pare-feu logiciel dans votre système d'exploitation Ubuntu ?

La majorité des réseaux domestiques sont aujourd'hui reliés à travers un routeur ou une *box. Or, la plupart des routeurs et *box incluent de base un module de pare-feu. Il est parfois activé d'office ; d'autres fois, vous devez vous-même le mettre en route. Dans ce cas, vous disposez déjà d'un pare-feu matériel.
De plus, même si votre *box ou votre routeur ne dispose pas d'un module de pare-feu, la manière selon laquelle fonctionne un routeur ou une *box rend techniquement vos ordinateurs inaccessibles directement depuis Internet.¹⁾ Dans ce cas, une intrusion devient très difficile mais pas totalement impossible. Généralement ce niveau de sécurité suffit sous Linux et donc dans ce cas de figure un pare feu logiciel n'est pas indispensable.
Connexion bas débit, Modem USB ou Modem PPPoE (premiers modems ADSL, pratiquement plus utilisés en france, mais encore parfois utilisés à l’étranger).
Dans ce seul cas de figure un pare-feu logiciel est absolument INDISPENSABLE !
Dans ce genre de situation, tout ordinateur distant aura accès à tous vos services réseau sans aucun problème. Ceci est un risque non négligeable. Par exemple, si vous partagez une imprimante avec le réseau vous partagerez en fait une imprimante avec l'Internet tout entier ! C'est-à-dire que tout le monde pourra imprimer chez vous si vous êtes connecté. Ne jouez donc pas avec le (pare) feu si vous êtes dans cette situation.
Dans le cas de réseau d'entreprise, même si le réseau privé est protégé par un pare-feu matériel ou un mécanisme NAT, on souhaitera protéger les postes de travail des possibles bévues des autres postes de travail. On souhaitera sécuriser les postes contre les possibles intrusions indésirables provenant de l'intérieur-même de l'entreprise, des autres ordinateurs connectés au même réseau privé – ceci est encore plus vrai dans le cas de sous-réseaux sans fil.²⁾
Enfin, dans un poste de travail mobile (netbook, ordinateur portable, périphérique mobile…) qui se connecte à des réseaux publics, comme celui d'une bibliothèque ou d'une université, même si le réseau privé est protégé par un pare-feu, on souhaitera se prémunir contre les possibles intrusions des autres postes publics.³⁾ Dans ce cas, installer et configurer un pare-feu logiciel dans son système d'exploitation Ubuntu est une bonne idée.

À lire aussi : une discussion sur l'intérêt d'un pare-feu dans Ubuntu dans le forum d'Ubuntu-FR.

Pare-feu par défaut dans Ubuntu

Le pare-feu sous Ubuntu est, comme sous tous les GNU/Linux, Netfilter.
A la différence de certains pare-feu applicatifs que l'ont peut rencontrer sous d'autres système d'exploitation , Netfilter agit directement sur le noyau, ce qui permet une bonne sécurité.
Netfilter prend en charge l'IPV6 ainsi que le suivi de connections
Iptables est son interface de configuration depuis le noyau 2.6 .
Sous Ubuntu est aussi installé par défaut UFW (Uncomplicated FireWall) , un logiciel en ligne de commande simplifiant la configuration du pare-feu.
UFW peut aussi être contrôlé par une interface graphique (GUFW (Graphical UFW)) ; celle-ci doit être installée séparément.

Notes

¹⁾

Cette technique nécessaire pour créer des réseaux privés s'appelle la transposition d'adresses réseau, ou network address translation (NAT). Les réseaux privés situés derrière un mécanisme de transposition d'adresses ne peuvent être contactés directement par d'autres serveurs dans Internet, à moins que votre propre ordinateur en ait commandé la communication. Donc, un ordinateur situé derrière un routeur ou une *box est techniquement protégé automatiquement grâce à un mécanisme NAT.

²⁾

Donc la sécurité des partages et services de la machine : en théorie ce pourquoi est réellement fait un pare-feu. Dans un environnement public ou semi-privé tel une entreprise, où il est plus ou moins facile de contrôler qui et comment accède aux ressources réseau (locales et distantes), il vaut mieux protéger ses postes d'utilisateur finaux.

³⁾

Tout comme le réseau d'entreprises, il est difficile – voire impossible – de contrôler efficacement qui se connecte au même sous-réseau privé (derrière un mécanisme NAT) que vous. Les possibles attaques proviennent donc de la part des possibles pirates qui se connectent dans le même sous-réseau privé que vous.